Aggiornamento annuale e continuo
Aggiornamento delle informazioni
Aggiornamento annuale delle informazioni sul Portale ACN: servizi in UE, sedi, indirizzi IP e domini, fornitori rilevanti e rappresentante NIS.
Contenuti rielaborati dalle FAQ ufficiali ACN sulla NIS (nuova scheda). Sintesi a finalità divulgativa: non sostituiscono il testo normativo vigente.
Aggiornamento annuale
Quali sono i termini per effettuare l’aggiornamento annuale delle informazioni di cui all’articolo 7, commi 4 e 5, del decreto NIS?
L’aggiornamento annuale delle informazioni di cui all’articolo 7, commi 4 e 5, del decreto NIS deve essere effettuato entro il 31 maggio di ogni anno tramite il “Servizio NIS/ Aggiornamento annuale informazioni”.
Successivamente, ai sensi del comma 7 del medesimo articolo, le organizzazioni sono tenute a notificare tramite il “Servizio NIS/Aggiornamento continuo informazioni”, qualsiasi modifica alle informazioni trasmesse tempestivamente e, in ogni caso, entro quattordici giorni dalla data di modifica.
Aggiornare le informazioni entro il 31 maggio di ogni anno e notificare ogni successiva modifica tramite il Servizio NIS/Aggiornamento continuo, comunque entro 14 giorni.
Quali sono i passaggi per effettuare l’aggiornamento annuale delle informazioni di cui all’articolo 7, commi 4 e 5, del decreto NIS?
L’aggiornamento annuale delle informazioni di cui all’articolo 7, commi 4 e 5, del decreto NIS, così come disciplinato dall’articolo 16 della Determinazione ACN 379887/2025, richiede di effettuare i seguenti passaggi:
invitare il sostituto punto di contatto;
verificare la correttezza e l’aggiornamento dei dati anagrafici e di contatto del soggetto NIS. Tali informazioni includono il codice fiscale, la denominazione, l’indirizzo della sede legale, l’indicazione del rappresentante legale, l’elenco dei procuratori generali, il numero di telefono, il domicilio digitale e un indirizzo di posta elettronica ordinaria funzionale;
elencare i componenti degli organi di amministrazione e direttivi, quali persone fisiche responsabili ai sensi dell’articolo 38, comma 5, del decreto NIS;
invitare, se ritenuto opportuno, la segreteria;
ove applicabile, elencare i servizi che rientrano nell’ambito di applicazione della direttiva 2022/2555 che il soggetto NIS offre nell’UE e indicando in quali Stati membri;
elencare gli indirizzi IP statici (pubblici) e i nomi di dominio in uso o nella disponibilità del soggetto NIS;
elencare gli accordi di condivisione delle informazioni.
Inoltre, il punto di contatto (e il sostituto) dovrà verificare che i suoi dati anagrafici e di contatto siano corretti aggiornati. Sul punto, ove prevista, il punto di contatto dovrà assicurarsi che la delega conferitagli dal rappresentante legale del soggetto sia corretta, aggiornata e conforme a quanto previsto dall’articolo 4 della citata determinazione.
Le organizzazioni di cui all’articolo 7, comma 5, e quelle di cui all’articolo 5, comma 1, lettera b), del decreto NIS, sono tenuti a condividere ulteriori informazioni in relazione alle sedi nell’Unione e al rappresentante NIS in Italia.
Il punto di contatto verifica che i propri dati anagrafici e di contatto siano corretti e aggiornati, quindi conferma o modifica le informazioni sul Portale dei Servizi.
Quali sono gli obblighi previsti dall’articolo 7, commi 3 e 4, del decreto NIS (cd. Aggiornamento annuale)
L’articolo 16 della Determinazione ACN 379887/2025 disciplina le modalità con le quali i soggetti NIS sono tenuti a svolgere l’aggiornamento delle informazioni, ai sensi dell’articolo 7, commi 3 e 4, del decreto NIS, dal 15 aprile al 31 maggio di ogni anno.
Gli utenti potranno visualizzare, aggiornare e compilare tramite il Servizio NIS/Aggiornamento annuale le informazioni per conto del soggetto per cui operano, assicurandone la correttezza.
Successivamente (articolo 7, comma 7, del decreto NIS), i soggetti NIS sono tenuti a mantenere queste informazioni aggiornate nel tempo.
Quali organizzazioni hanno l’obbligo di aggiornamento annuale (articolo 7, commi 4 e 5 del decreto NIS)?
Tutti i soggetti NIS (essenziali e importanti) di cui agli articoli 3 e 7 del decreto NIS sono tenuti a svolgere l’aggiornamento annuale.
Si evidenzia che, ai sensi dell’articolo 38, commi 10 e 13, la mancata registrazione non solleva dall’obbligo di aggiornamento annuale.
Come si adempie all’obbligo di Aggiornamento annuale (articolo 7, commi 4 e 5 del decreto NIS)?
Per supportare i soggetti NIS, tramite il Portale dei Servizi ACN è reso disponibile il servizio NIS/Aggiornamento annuale, visibile esclusivamente dagli utenti associati alle organizzazioni designate come soggetto NIS (essenziali o importanti) e che hanno ricevuto la comunicazione di inserimento nell’elenco dei soggetti NIS (ex articolo 7, comma 3, lettera a)).
Elenco dei Servizi in UE
Quali organizzazioni devono elencare gli Stati membri in cui erogano servizi NIS?
Tutti i soggetti NIS (essenziali e importanti) devono provvedere ad elencare gli Stati membri in cui erogano servizi NIS (e quali).
Per quali servizi un’organizzazione deve indicare gli Stati membri in cui li eroga?
Il soggetto NIS deve elencare tutti i servizi che rientrano nell’ambito di applicazione della direttiva 2022/2555 (ovvero tutti i servizi riconducibili alle tipologie di soggetto di cui agli allegati I,II, III e IV) e in quali Stati membri (inclusa l’Italia) sono erogati.
In un gruppo di imprese quali organizzazioni devono inserire l'elenco degli Stati membri in cui erogano i servizi?
L’obbligo di aggiornamento annuale deve essere assolto da ogni persona giuridica distintamente, anche se parte del medesimo gruppo.
Pertanto, ove applicabile, il singolo soggetto NIS dovrà fornire l’elenco dei servizi che rientrano nell’ambito di applicazione della direttiva 2022/2555 che tale soggetto offre nell’UE indicando in quali Stati membri, ai sensi dell'articolo 16, comma 3, lettera c) della Determinazione ACN 379887/2025.
Elenco delle sedi in UE e Rappresentante NIS
Quali organizzazioni devono elencare le proprie sedi nell’UE
Devono fornire l'elenco delle sedi quei soggetti NIS (persone giuridiche) che sono stabiliti sul territorio nazionali (sede principale) e che svolgono attività ritenute “inerentemente transfrontaliere” elencate dall’articolo 7, comma 5, del decreto NIS: i fornitori di servizi di sistema dei nomi di dominio, i gestori di registri dei nomi di dominio di primo livello, i fornitori di servizi di registrazione dei nomi di dominio, i fornitori di servizi di cloud computing, i fornitori di servizi di data center, i fornitori di reti di distribuzione dei contenuti, i fornitori di servizi gestiti, i fornitori di servizi di sicurezza gestiti, nonché i fornitori di mercati online, i fornitori di motori di ricerca online e i fornitori di piattaforme di social network.
Quali organizzazioni devono indicare il rappresentante NIS?
Devono indicare i dati di anagrafica e di contatto del rappresentante NIS quei soggetti NIS (persone giuridiche) che non hanno alcuna sede sul territorio dell’Unione, che hanno designato il proprio rappresentante NIS sul territorio nazionale e che svolgono attività ritenute “inerentemente transfrontaliere” elencate dall’articolo 7, comma 5, del decreto NIS: i fornitori di servizi di sistema dei nomi di dominio, i gestori di registri dei nomi di dominio di primo livello, i fornitori di servizi di registrazione dei nomi di dominio, i fornitori di servizi di cloud computing, i fornitori di servizi di data center, i fornitori di reti di distribuzione dei contenuti, i fornitori di servizi gestiti, i fornitori di servizi di sicurezza gestiti, nonché i fornitori di mercati online, i fornitori di motori di ricerca online e i fornitori di piattaforme di social network.
Indirizzi IP e nomi di dominio
Quali indirizzi IP e quali nomi di domino devono essere elencati?
Conformemente a quanto stabilito dalla Determinazione ACN 379887/2025, devono essere elencati tutti gli indirizzi IP il cui uso o la cui disponibilità deriva da contratti o accordi con fornitori di servizi di registrazione di nomi di dominio o altre organizzazioni responsabili della fornitura di nomi di dominio, in conformità con le normative e gli accordi nazionali, europei e internazionali attualmente in vigore, prescindendo da aspetti organizzativi e tecnologici.
Analogamente, dovranno essere elencati tutti i nomi di dominio il cui uso o la cui disponibilità deriva contratti o accordi con fornitori di servizi di registrazione di nomi di dominio o altre organizzazioni deputate alla fornitura di nomi di dominio sulla base delle normative e degli accordi nazionali, europei e internazionali vigenti.
Cosa si intende per spazio di indirizzamento IP pubblico in uso o nella disponibilità del soggetto?
Con tale dicitura ci si riferisce agli indirizzi IP pubblici e statici che un soggetto utilizza o ha a propria disposizione e acquisiti tramite contratti o accordi con fornitori di servizi Internet (ISP), Registri Internet Regionali o altre organizzazioni deputate alla fornitura di indirizzi IP.
Quali indirizzi IP devono essere elencati?
Devono essere inseriti tutti gli indirizzi IP statici e pubblici e che sono presenti nei contratti o accordi di acquisizione che sono stati stipulati con fornitori di servizi Internet (ISP), Registri Internet Regionali o altre organizzazioni deputate alla fornitura di indirizzi IP.
Cosa si intende nomi di dominio in uso o nella disponibilità del soggetto?
Con tale dicitura ci si riferisce ai nomi di dominio che un soggetto utilizza o ha a propria disposizione e acquisiti tramite contratti o accordi con fornitori di servizi di registrazione di nomi di dominio o altre organizzazioni deputate alla fornitura di nomi di dominio.
Quali nomi di dominio devono essere elencati?
Devono essere inseriti tutti i nomi di dominio che sono presenti nei contratti o accordi di acquisizione che sono stati stipulati con fornitori di servizi Internet (ISP), Registri Internet Regionali o altre organizzazioni deputate alla fornitura di indirizzi IP.
Come ci si comporta nel caso in cui indirizzi IP e nomi di domino siano in uso o nella disponibilità di più organizzazioni?
Conformemente a quanto stabilito dalla Determinazione ACN 379887/2025, devono essere elencati tutti gli indirizzi IP il cui uso o la cui disponibilità deriva da contratti o accordi con fornitori di servizi di registrazione di nomi di dominio o altre organizzazioni responsabili della fornitura di nomi di dominio, in conformità con le normative e gli accordi nazionali, europei e internazionali attualmente in vigore. Analogamente, dovranno essere elencati tutti i nomi di dominio il cui uso o la cui disponibilità deriva da contratti o accordi con fornitori di servizi di registrazione di nomi di dominio o altre organizzazioni deputate alla fornitura di nomi di dominio sulla base delle normative e degli accordi nazionali, europei e internazionali vigenti. Ogni organizzazione dovrà quindi elencare gli indirizzi IP e i nomi di dominio presenti in tali contratti o accordi, ivi compresi eventuali contratti o accordi infragruppo. Lo stesso indirizzo IP e/o lo stesso nome di dominio potrà essere indicato da più organizzazioni.
IPD. 7 Devono essere elencati anche gli indirizzi IP di filiali dell'organizzazione localizzate al di fuori del territorio nazionale o UE?
Conformemente a quanto stabilito dalla Determinazione ACN 379887/2025, devono essere elencati tutti gli indirizzi IP il cui uso o la cui disponibilità deriva da contratti o accordi con fornitori di servizi di registrazione di nomi di dominio o altre organizzazioni responsabili della fornitura di nomi di dominio, in conformità con le normative e gli accordi nazionali, europei e internazionali attualmente in vigore.
Ciò prescindendo dalla localizzazione fisica delle filiali.
Devono essere elencati anche gli indirizzi IP e i nomi di dominio riferiti a società estere che fanno parte del medesimo gruppo di imprese?
Il decreto NIS si applica alle persone giuridiche (soggetti) e non ai gruppi di imprese. Pertanto, ogni organizzazione deve conferire gli indirizzi IP e i domini in uso o nella disponibilità del dell’organizzazione medesima ai sensi della Determinazione ACN 379887/2025 e non di altre persone giuridiche.
Devono essere elencati anche gli indirizzi IP e i nomi di dominio gestiti da per conto di terzi (i.e., clienti) o da terzi (i.e., fornitori di servizi)?
Conformemente a quanto stabilito dalla Determinazione ACN 379887/2025, devono essere elencati tutti gli indirizzi IP e i nomi di dominio il cui uso o la cui disponibilità deriva da contratti o accordi.
Pertanto, i soggetti sono tenuti a comunicare anche gli eventuali indirizzi IP e i nomi di dominio che hanno in uso o nella propria disponibilità per conto di terzi (come, ad esempio, nell'ambito di servizi di gestione dei contenuti web), o che sono gestiti da terzi e che comunque il soggetto ha in uso o nella propria disponibilità in forza di contratti o accordi.
I fornitori di servizi di registrazione di nomi di dominio sono tenuti a comunicare tutti i nomi di dominio che forniscono ai propri clienti?
Conformemente a quanto stabilito dalla Determinazione ACN 379887/2025, devono essere elencati tutti i nomi di dominio il cui uso o la cui disponibilità deriva da contratti o accordi.
Pertanto, i soggetti che forniscono servizi di registrazione dei nomi di dominio non sono tenuti a comunicare i nomi di dominio di cui hanno mediato la fornitura o rivendita e per i quali mantengono i dati di registrazione o per i quali offrono servizi di hosting.
I fornitori di servizi di sistema dei nomi di dominio sono tenuti a comunicare tutti i nomi di dominio presenti nella banca dati?
Conformemente a quanto stabilito dalla Determinazione ACN 379887/2025, devono essere elencati tutti i nomi di dominio il cui uso o la cui disponibilità deriva da contratti o accordi.
Pertanto, i soggetti che forniscono servizi di sistema dei nomi di dominio non sono tenuti a comunicare i nomi di dominio che sono presenti nei DNS che gestiscono.
Accordi di condivisione delle informazioni sulla sicurezza informatica
Cosa sono gli accordi di condivisione delle informazioni sulla sicurezza informatica?
Ai sensi dell’articolo 1, comma 1, lettera kk) della Determinazione ACN 379887/2025, per “accordi di condivisione”, si intendono gli accordi di condivisione delle informazioni sulla sicurezza informatica, di cui all’articolo 17, comma 2, del decreto NIS, per attuare lo scambio di informazioni pertinenti su base volontaria di cui al comma 1 del medesimo articolo.
Tali accordi sono adottati dai soggetti essenziali ed importanti, nell’ambito delle proprie autonomie decisionali, per condividere informazioni sulla sicurezza informatica, comprese quelle relative a minacce informatiche, quasi incidenti, vulnerabilità, tecniche e procedure, indicatori di compromissione, tattiche avversarie, informazioni specifiche sugli attori delle minacce, allarmi di sicurezza informatica e raccomandazioni sulla configurazione degli strumenti di sicurezza informatica per rilevare minacce informatiche. La condivisione di tali informazioni mira a prevenire o a rilevare gli incidenti e ad aumentare il livello di sicurezza informatica.
È obbligatorio sottoscrivere accordi di condivisione con tutte le organizzazioni con le quali vengono scambiate informazioni sulla sicurezza informatica?
La condivisone di informazioni sulla sicurezza informatica ai sensi dell’articolo 17, comma 1, del decreto NIS tra soggetti NIS e/o tra soggetti NIS e le loro terze parti (ivi inclusi i fornitori) deve essere regolata, ai sensi del comma 2 del medesimo articolo, da accordi di condivisione, volti a definire il perimetro della condivisione e gli strumenti di tutela delle informazioni condivise.
Ferma restando l’opportunità di aderire quanto prima a questa migliore pratica, il termine per l’adeguamento a tale prescrizione è allineato al termine per l’adozione delle specifiche di base in materia di misure di sicurezza (ottobre 2026).
Si segnala inoltre che nel contesto della gestione del rischio che deriva dalla catena di approvvigionamento, i soggetti NIS sono chiamati a valutare l’opportunità di inserire clausole inerenti alla protezione delle informazioni che scambiano con i fornitori (e.g. accordi di riservatezza).
È obbligatorio notificare tutti gli accordi di condivisione del corso dell’aggiornamento annuale?
Nell’ottica di attuazione progressiva delle prescrizioni del decreto NIS, nel corso dell’aggiornamento annuale 2025 è prevista la sola notifica degli accordi di condivisione vigenti e sottoscritti successivamente all’entrata in vigore del decreto NIS.
La notifica degli accordi previgenti l’entrata in vigore del decreto NIS è rimandata all’aggiornamento annuale 2026, al fine di consentire ai soggetti NIS una completa analisi, nonché eventuale adeguamento, di tali accordi alla luce della nuova disciplina NIS.
Tutti i contratti con i fornitori devono essere notificati quali accordi di condivisione delle informazioni sulla sicurezza informatica?
Nell’ottica di attuazione progressiva delle prescrizioni del decreto NIS, e nelle more della costituzione di un consenso a livello Unionale, si configura come condivisione di informazioni sulla sicurezza informatica di cui all’articolo 17, comma 1, del decreto NIS, lo scambio di informazioni che avviene nel contesto di forniture che hanno oggetto, anche in parte, servizi di sicurezza informatica.
Sono pertanto oggetto di notifica i contratti relativi alle forniture di servizi quali:
NOC (Network Operation Centre);
MDR (Managed Detection and Response);
SOC (Security Operation Centre);
CSOC (Cyber Security Operation Centre);
CERT (Computer Emergency Response Team);
VA/PT (Vulnerability Assessment e Penetration Test);
Red Teaming;
Cyber Threat Intel.
Non sono altresì oggetto di notifica i contratti relativi a forniture che non hanno oggetto servizi di sicurezza informatica e in cui, su base volontaria o in forza di clausole contrattuali, il fornitore segnali al cliente eventuali eventi di sicurezza informatica di interesse del cliente stesso.
Si osserva, inoltre, che ai fini della notifica è sufficiente comunicare l’estratto del contratto inerente allo scambio delle informazioni.
Fornitori rilevanti
Per quale motivo nell’ambito dell’aggiornamento annuale delle informazioni devono essere indicati anche fornitori rilevanti NIS?
L’articolo 3, comma 9, lettera f), del decreto NIS prevede che il decreto stesso si applichi, indipendentemente dalle dimensioni, a un soggetto considerato critico in quanto elemento sistemico della catena di approvvigionamento, anche digitale, di uno o più soggetti considerati essenziali o importanti ai sensi della disciplina NIS.
Pertanto, è necessario acquisire le informazioni relative ai fornitori considerati rilevanti (fornitori rilevanti NIS) al fine di individuare tra di essi, d’intesa con le Autorità di settore, gli elementi sistemici della catena di approvvigionamento da individuare quali soggetti importanti o essenziali al fine di promuovere un adeguato livello di sicurezza informatica lungo la catena di approvvigionamento dei soggetti NIS.
Come si individuano i fornitori rilevanti NIS?
Ai sensi dell’articolo 1, comma 1, lettera ll), della Determinazione ACN 127437/2026 , un fornitore si considera “fornitore rilevante NIS” se fornisce servizi o prodotti a un soggetto NIS e soddisfa almeno uno dei seguenti criteri di rilevanza:
la fornitura è riconducibile alle attività o ai servizi di cui all’allegato I, punti 8 e 9, del decreto NIS (fornitura ICT);
l’interruzione o la compromissione della fornitura comportano un impatto significativo sulla capacità del soggetto NIS, anche per effetto della indisponibilità di fornitori alternativi, di erogare le attività o i servizi per i quali rientra nell’ambito di applicazione del decreto NIS (fornitura non fungibile).
Si evidenzia che i criteri di rilevanza possono essere considerati in alternativa tra loro o congiuntamente. Di conseguenza, una fornitura può essere di tre tipi:
fornitura ICT;
fornitura non fungibile;
fornitura ICT non fungibile.
Quali informazioni devono essere comunicate in merito ai fornitori rilevanti NIS?
Ai sensi dell’articolo 18 della Determinazione ACN 127437/2026, devono essere comunicate le seguenti informazioni:
la denominazione;
il codice fiscale;
il Paese in cui ha la sede legale;
i codici CPV (Common Procurement Vocabulary) di cui al Regolamento (CE) n. 2195/2002, relativi alle forniture di cui fruisce il soggetto NIS;
il criterio di rilevanza, di cui all’articolo 1, comma 1, lettera ll), utilizzato.
Si evidenzia che i criteri di rilevanza sono (in alternativa o congiuntamente) i seguenti:
la fornitura è riconducibile alle attività o ai servizi di cui all’allegato I, punti 8 e 9, del decreto NIS;
l’interruzione o la compromissione della fornitura comportano un impatto significativo sulla capacità del soggetto NIS, anche per effetto della indisponibilità di fornitori alternativi, di erogare le attività o i servizi per i quali rientra nell’ambito di applicazione del decreto NIS.
Ai fini della definizione della fornitura si fa riferimento alla tassonomia contenuta nel vocabolario comune per gli appalti pubblici (common procurement vocabulary - CPV) adottato con Regolamento (CE) n. 2195/2002, successivamente modificato dal Regolamento (CE) n. 213/2008, disponibile al seguente link:
https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32008R0213.
A titolo di mero supporto orientativo, al link seguente Allegato II.2 bis, Tabella D.1. nuovo Codice Appalti, è disponibile una corrispondenza di alto livello tra codici CPV e codici NACE/ATECO, utile per ricondurre, limitatamente ai codici in esso contenuti, le forniture alla classificazione delle attività economiche di riferimento. Si precisa che tale tabella non sostituisce l'elenco completo dei codici CPV previsti dal Regolamento (CE) n. 2195/2002 e, pertanto, la selezione definitiva dei codici CPV applicabili resta rimessa a ciascun soggetto sulla base dell'elenco completo contenuto nel predetto Regolamento.
Infine, alle FAQ dedicate sono illustrati alcuni esempi di forniture con la relativa indicazione del CPV di riferimento.
Quali sono alcuni esempi di forniture rilevanti NIS?
Tenuto conto della definizione di fornitori rilevanti NIS, rientrano tutte le dipendenze digitali del soggetto NIS nonché anche le dipendenze non digitali che non possono essere sostituite senza determinare un impatto significativo sulle attività e sui servizi NIS.
Poiché i criteri di rilevanza possono essere considerati in alternativa tra loro o congiuntamente, una fornitura può essere di tre tipi:
fornitura ICT;
fornitura non fungibile;
fornitura ICT non fungibile.
Con riferimento a quest’ultima casistica (forniture ICT non fungibili – criteri di rilevanza a) e b)), si evidenzia, in particolare:
Connettività (dati e voce, fissa e mobile), qualora non ridondata:
CPV: Servizi di Internet [72400000-4], Fornitori di servizi Internet (ISP) [72411000-4], Servizi di trasmissione di dati [72318000-7]
Con riferimento alla seconda casistica (forniture non fungibili – criterio di rilevanza b)), si evidenzia, in particolare:
Corrente elettrica:
CPV: Erogazione di energia elettrica [65310000-9], Erogazione di energia elettrica e servizi connessi [65300000-6].
Con riferimento alla prima casistica (forniture ICT – criterio di rilevanza a)), si evidenziano, in particolare:
Infrastrutture digitali:
punti di interscambio internet - CPV: Servizi di interconnessione [64221000-1];
servizi di sistema dei nomi di dominio - CPV: Nomi di dominio di Internet [72417000-6];
servizi di cloud computing - CPV: Servizi di Internet [72400000-4], Servizi di elaborazione dati [72300000-8], Servizi informatici [72500000-0], Servizi di gestione connessi all'informatica [72510000-3];
servizi di data center - CPV: Servizi informatici: consulenza, sviluppo di software, Internet e supporto [72000000-5];
reti di distribuzione dei contenuti - CPV: Servizi di Internet [72400000-4]
servizi fiduciari - CPV: Servizi di certificazione della firma elettronica [79132100-9], Pacchetti software e sistemi di informazione [48000000-8];
Fornitore di reti pubbliche di comunicazione elettronica - CPV: Servizi di telecomunicazione [64200000-8]
Fornitore di servizi di comunicazione elettronica accessibili al pubblico - CPV: Servizi telefonici e di trasmissione dati [64210000-1];
Servizi gestiti e servizi gestiti di sicurezza:
CPV: Servizi informatici [72500000-0], Servizi di gestione connessi all'informatica [72510000-3], Servizi di manutenzione e assistenza sistemi [72250000-2], Servizi di consulenza e assistenza informatica [72600000-6], Servizi di audit e collaudo informatico [72800000-8].
VERSIONE TABELLARE
Tipologia fornitura non fungibile Descrizione fornitura Codice CPV
Connettività (dati e voce, fissa e mobile), qualora non ridondata Servizi di Internet 72400000-4
Fornitori di servizi Internet (ISP) 72411000-4
Servizi di trasmissione di dati 72318000-7
Corrente elettrica Erogazione di energia elettrica e servizi connessi 65300000-6
Erogazione di energia elettrica 65310000-9
VERSIONE TABELLARE
Tipologia fornitura ICT - Infrastrutture digitali Descrizione fornitura nel vocabolario CPV Codice CPV
Fornitori di punti di interscambio internet Servizi di interconnessione 64221000-1
Fornitori di servizi di sistema dei nomi di dominio Nomi di dominio di Internet 72417000-6
Fornitori di servizi di cloud computing Servizi di elaborazione dati 72300000-8
Servizi di Internet 72400000-4
Servizi informatici 72500000-0
Servizi di gestione connessi all'informatica 72510000-3
Fornitori di servizi di data center Servizi informatici: consulenza, sviluppo di software, Internet e supporto 72000000-5
Fornitori di reti di distribuzione dei contenuti Servizi di Internet 72400000-4
Prestatori di servizi fiduciari Servizi di certificazione della firma elettronica 79132100-9
Pacchetti software e sistemi di informazione 48000000-8
Fornitore di reti pubbliche di comunicazione elettronica Servizi di telecomunicazione 64200000-8
Fornitore di servizi di comunicazione elettronica accessibili al pubblico Servizi telefonici e di trasmissione dati 64210000-1
VERSIONE TABELLARE
Tipologia fornitura ICT - Gestione dei servizi TIC Descrizione fornitura nel vocabolario CPV Codice CPV
Fornitori di servizi gestiti e servizi gestiti di sicurezza Servizi informatici 72500000-0
Servizi di gestione connessi all'informatica 72510000-3
Servizi di manutenzione e assistenza sistemi 72250000-2
Servizi di consulenza e assistenza informatica 72600000-6
Servizi di audit e collaudo informatico 72800000-8
È necessario elencare fornitori esteri?
Si, è necessario, oltre che opportuno, tenuto conto che la maggior parte di questi fornitori, anche se extra-UE, è soggetta alla Direttiva NIS, in Italia o in altri SM.
È necessario elencare i fornitori di sedi estere di soggetti NIS nazionali?
Si. Come indicato anche nella le FAQ dedicate, l’elencazione è necessaria, oltre che opportuna, tenuto conto che la maggior parte di questi fornitori, anche se extra-UE, è soggetta alla Direttiva NIS, in Italia o in altri SM.
Se la fornitura rilevante è contrattualizzata tramite il fornitore A il quale si avvale del fornitore B come subfornitore, quale fornitore deve essere elencato?
In linea generale è necessario segnalare il fornitore A. Il fornitore B viene in rilievo solo qualora sia palese il suo contributo alla fornitura rilevante. Sul punto, si veda anche la le FAQ dedicate
Se la fornitura rilevante è contrattualizzata tramite il fornitore A ma effettivamente erogata dal fornitore B, quale fornitore deve essere elencato?
In linea generale è necessario segnalare il fornitore B mentre è opportuna una ulteriore valutazione circa il fornitore A.
In particolare, il fornitore A viene in rilievo quale rilevante, qualora non si occupi della sola facilitazione dell’acquisizione della fornitura del fornitore B (i.e., broker, vds FAQ A1.9.5), ma sia funzionale all’erogazione della fornitura stessa.
Ad esempio, se l’organizzazione fruisce di un servizio SaaS del fornitore B la cui gestione applicativa è svolta dal fornitore A, entrambi sono fornitori rilevanti.
Al contrario, se l’organizzazione acquista dal fornitore A le licenze per accedere al servizio SaaS del fornitore B e non ha necessità di ulteriori interazioni con A per gestire la fornitura, il fornitore A non appare rilevante.
Un fornitore che fa parte del medesimo gruppo di imprese deve essere valutato ai fini dell’individuazione dei fornitori rilevanti?
Si, al riguardo, viene in rilievo la le FAQ dedicate
Come si compila il file excel nel caso in cui sia necessario indicare più CPV per uno stesso fornitore?
Se un fornitore eroga fornitura/e riferite a più codici CPV, l'utente dovrà compilare nel file una nuova riga per ogni codice CPV indicando il medesimo fornitore.